Datenschutzerklärung für Foldwing

Wer verantwortlich ist

Für den Relay foldwing.online und diese Seite bin ich verantwortlich nach der Datenschutz-Grundverordnung (DSGVO):

Für die Dateien, die jemand teilt, ist die Person verantwortlich, die sie teilt. Ich sehe nicht, was geteilt wird, und entscheide nicht, wer etwas bekommt. Ich betreibe den Relay privat, kostenlos und ohne Werbung.

Derselbe Relay ist für Links und Apps aus Foldwing 1.4.0 weiterhin auch unter share.fynn.land erreichbar. Diese Erklärung gilt für beide Adressen.

Was der Relay über deinen Rechner speichert

Wenn du in Foldwing einen Internet-Link erstellst, meldet sich die App beim Relay an. Dabei speichere ich:

• eine zufällige Geräte-ID, die die App einmal erzeugt hat,
• einen Hashwert (SHA-256) eines zufälligen Geheimnisses, das nur deine App kennt; das Geheimnis selbst speichere ich nicht,
• die aktuelle Tunnel-Adresse deines Rechners (https://….trycloudflare.com),
• ob dein Rechner gerade online ist,
• wann sich das Gerät zum ersten und zum letzten Mal gemeldet hat,
• ob das Gerät gesperrt ist, und falls ja, wann und aus welchem Grund (Sperren).

Deine IP-Adresse, deinen Namen und deine Dateien speichere ich nicht.

Das brauche ich, damit ein Link wie https://foldwing.online/… bei deinem Rechner ankommt. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO: Du nutzt den Relay nach den Regeln für foldwing.online. Wo es um das Abwehren von Missbrauch geht, stütze ich mich auf Art. 6 Abs. 1 Buchst. f DSGVO.

Die App merkt sich Geräte-ID und Geheimnis in ihren Einstellungen auf deinem Rechner. Das ist für den Dienst, den du ausdrücklich nutzen willst, unbedingt nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung braucht es dafür nicht.

Wenn du einen Foldwing-Link öffnest

Rufst du einen Link unter foldwing.online (oder share.fynn.land) auf, reicht der Relay die Freigabe-Seite vom Rechner der Person, die teilt, an dich weiter. Auf dieser Seite stehen Dateiname, Größe und eine Vorschau, bei Texten, Tabellen und Word-Dateien also auch ein Teil des Inhalts. Die Seite wird nicht gespeichert.

Die Datei selbst läuft nicht durch den Relay. Für Downloads, Bilder, Videos und PDFs leitet er dich an die Tunnel-Adresse des teilenden Rechners weiter (https://….trycloudflare.com). Dein Browser lädt die Datei dann über Cloudflare direkt von dort.

Technisch fallen dabei Verbindungsdaten an: deine IP-Adresse, Datum und Uhrzeit, der aufgerufene Link und Angaben deines Browsers. Sie werden nur für die Auslieferung verwendet. Die Protokollierung von Anfragen bei Cloudflare ist für den Relay abgeschaltet, und ich schreibe selbst keine Protokolle.

Beim Abruf der Seite über den Relay bekommt die Person, die teilt, deine IP-Adresse nicht. Der Relay reicht keine Cookies, keinen Referrer und nicht die Kennung deines Browsers weiter, nur die wenigen Angaben, die für die Auslieferung nötig sind (etwa welcher Teil eines Videos gerade gebraucht wird). Lädst du die Datei über die Weiterleitung, verbindet sich dein Browser über Cloudflare mit dem teilenden Rechner. Cloudflare gibt dabei deine IP-Adresse an die App dort weiter. Foldwing speichert sie nicht und zeigt sie nicht an.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Mein berechtigtes Interesse und das der Person, die teilt, ist, dass die Datei zuverlässig und sicher bei dir ankommt.

Schutz vor Überlastung

Damit niemand den Relay mit massenhaften Abrufen lahmlegt, zählt er Anfragen je Netz, je Gerät und je Link, jeweils für eine Minute. Als Schlüssel für den Zähler je Netz bildet er aus deiner IP-Adresse einen gekürzten Hashwert (SHA-256). Die IP-Adresse selbst wird dabei weder gespeichert noch an den teilenden Rechner weitergegeben. Der Zähler liegt nur im Arbeitsspeicher von Cloudflare und verfällt nach einer Minute. Wird eine Grenze überschritten, bekommst du kurz eine Fehlermeldung statt der Seite.

Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Mein berechtigtes Interesse ist, den Relay für alle verfügbar zu halten und Missbrauch abzuwehren.

Was mit den Dateien passiert

Die Dateien liegen auf dem Rechner der teilenden Person und werden von dort ausgeliefert. Auf dem Weg sind sie per HTTPS verschlüsselt. Diese Verschlüsselung endet bei Cloudflare: Bei der Freigabe-Seite sieht mein Relay den Inhalt beim Durchreichen technisch unverschlüsselt, bei Downloads nur der Tunnel von Cloudflare. Gespeichert oder ausgewertet wird nichts, und ich schaue nicht hinein.

Wenn du Dateien mit sensiblen Daten anderer Leute teilst, zum Beispiel beruflich, nimm lieber die Betriebsart „Nur im eigenen Netzwerk“ oder „Eigene Domain“. Dann läuft nichts über meinen Relay. Einen Vertrag zur Auftragsverarbeitung biete ich für den Relay nicht an.

Cloudflare

Der Relay läuft auf Cloudflare Workers der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Die Zuordnung der Geräte liegt in einer Datenbank bei Cloudflare (D1), deren Speicherort auf Rechenzentren in der EU beschränkt ist. Cloudflare verarbeitet die Daten in meinem Auftrag. Dafür gilt der Vertrag zur Auftragsverarbeitung von Cloudflare (Data Processing Addendum) nach Art. 28 DSGVO, der Teil der Nutzungsbedingungen von Cloudflare ist.

Die Anfragen selbst bearbeitet Cloudflare in dem Rechenzentrum, das dir am nächsten ist, auch außerhalb der EU. Daten können deshalb in Länder außerhalb der EU übermittelt werden, vor allem in die USA. Cloudflare nimmt am EU-U.S. Data Privacy Framework teil; die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO). Falls dieser Beschluss wegfällt, sieht der Vertrag die Standardvertragsklauseln der EU-Kommission vor (Art. 46 Abs. 2 Buchst. c DSGVO).

Cloudflare führt für foldwing.online Tagessummen über die Aufrufe (Anfragen, Länder, ungefähre Zahl verschiedener Besucher). Zusätzlich zähle ich, wie viele Geräte angemeldet und gerade online sind und wie viele Links und Geräte gesperrt sind. Diese Summen sehe ich mir an und bewahre sie als Tageswerte bis zu 24 Monate auf. Sie enthalten keine IP-Adressen, Geräte-IDs oder Links und lassen keinen Schluss auf einzelne Personen zu. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; mein berechtigtes Interesse ist, den Relay an der tatsächlichen Nutzung auszurichten.

Für bestimmte eigene Zwecke, etwa die Sicherheit seines Netzes, beschreibt Cloudflare eine eigene Verantwortlichkeit. Mehr dazu in der Datenschutzerklärung von Cloudflare.

Wenn du Foldwing auf deinem Rechner benutzt

Die App selbst schickt mir nichts außer der Anmeldung beim Relay. Es gibt keine Telemetrie und keine Absturzberichte.

Tunnel zu Cloudflare. Für Internet-Links startet die App einen Cloudflare Quick Tunnel. Dein Rechner verbindet sich dafür mit Cloudflare, und Cloudflare sieht dabei die IP-Adresse deines Rechners. Das ist eine Verbindung zwischen deinem Rechner und Cloudflare, ohne Konto; dafür gelten die Bedingungen und die Datenschutzerklärung von Cloudflare. Der Tunnel läuft nur, solange du etwas teilst.

Updates. Foldwing fragt bei GitHub nach, ob es eine neue Version gibt, und lädt sie dort. Dabei sieht GitHub (Microsoft) deine IP-Adresse und die Version der App. Du kannst die Prüfung in den Einstellungen der App ausschalten. Von diesen Anfragen bekomme ich nichts mit. Mehr dazu im Datenschutzhinweis von GitHub.

Virenscan. Neue Dateien prüft Foldwing mit dem Virenscanner auf deinem Rechner (Windows: Microsoft Defender, Linux: ClamAV). Foldwing schickt dabei nichts weg. Ob Defender verdächtige Dateien an Microsoft übermittelt, hängt von deinen Windows-Einstellungen ab („Automatische Übermittlung von Beispielen“).

Eigenes Netzwerk und eigene Domain. In diesen Betriebsarten bin ich nicht beteiligt. Im eigenen Netzwerk bleibt alles bei dir. Mit eigener Domain läuft der Verkehr über deinen eigenen Cloudflare-Tunnel und dein eigenes Cloudflare-Konto.

Keine Cookies, keine Banner

Die Freigabe-Seiten und die Seiten des Relays setzen keine Cookies, speichern nichts in deinem Browser und laden keine fremden Inhalte. Es läuft dort kein JavaScript. Auch Cloudflare setzt für foldwing.online und share.fynn.land keine Cookies. Deshalb gibt es kein Cookie-Banner. Dein Browser hält Dateien eventuell kurz in seinem eigenen Zwischenspeicher, damit sie nicht doppelt geladen werden; das ist für die Auslieferung nötig (§ 25 Abs. 2 Nr. 2 TDDDG).

Wenn du etwas meldest oder mir schreibst

Meldest du einen Link (über foldwing.online/_/melden oder per E-Mail) oder schreibst du mir, nutze ich deine Nachricht, deinen Namen und deine E-Mail-Adresse, um die Sache zu prüfen und dir zu antworten. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; soweit der Digital Services Act Pflichten für Meldungen vorsieht, zusätzlich Art. 6 Abs. 1 Buchst. c DSGVO.

Meldest du Darstellungen von sexuellem Missbrauch von Kindern, musst du keinen Namen angeben.

Ich gebe deine Angaben nicht an die Person weiter, deren Link du meldest. Ausnahme: Es ist für die Klärung unbedingt nötig, oder ein Gericht oder eine Behörde verlangt es. Bei Verdacht auf schwere Straftaten informiere ich die Polizei.

Sperren

Ich kann einzelne Links oder ganze Geräte sperren, zum Beispiel nach einer berechtigten Meldung (Regeln für foldwing.online). Dann speichere ich die Link- oder Geräte-ID, das Datum und eine kurze Begründung, solange die Sperre gilt. Datum und Begründung stehen auch auf der Seite, die beim Öffnen eines gesperrten Links erscheint.

Jedes Sperren und Entsperren halte ich zusätzlich in einem Moderationsprotokoll fest: Link- oder Geräte-ID, Zeitpunkt, Grund und Ergebnis, ohne IP-Adressen und ohne Namen. So kann ich eine Entscheidung nachvollziehen, wenn jemand ihr widerspricht, und meine Pflicht zur Begründung nach dem Digital Services Act erfüllen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. c und f DSGVO. Die Einträge lösche ich nach 12 Monaten.

Wie lange ich was speichere

• Geräte-Eintrag: bis 30 Tage, nachdem sich dein Gerät zuletzt gemeldet hat; danach löscht ihn ein täglicher Durchlauf automatisch. Gesperrte Geräte bleiben, solange die Sperre gilt.
• Gesperrte Links: solange die Sperre gilt.
• Moderationsprotokoll: 12 Monate ab der Aktion.
• Meldungen und E-Mails: spätestens ein Jahr, nachdem die Sache erledigt ist, außer ich brauche sie länger, weil noch ein Streit läuft.
• Zähler zum Schutz vor Überlastung: eine Minute.
• Anfragen von Besuchern: gar nicht, sie werden nur durchgereicht.

Hörst du auf, Links zu teilen, meldet sich die App beim Relay ab. Willst du deinen Eintrag sofort gelöscht haben, schreib mir deine Geräte-ID; sie steht in den Einstellungen der App.

Deine Rechte

Du kannst von mir Auskunft über deine Daten verlangen (Art. 15 DSGVO), ihre Berichtigung (Art. 16), ihre Löschung (Art. 17), die Einschränkung der Verarbeitung (Art. 18) und die Übertragung deiner Daten (Art. 20). Eine E-Mail an kontakt@fynnland.xyz genügt.

Weil ich keine Namen oder IP-Adressen speichere, kann ich dich nur über die Geräte-ID oder einen Link zuordnen. Schreib sie bitte dazu, wenn du etwas von mir willst (Art. 11 Abs. 2 DSGVO).

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), vor allem in dem EU-Staat, in dem du wohnst oder arbeitest. Für mich zuständig ist der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.

Automatisierte Entscheidungen oder Profile gibt es hier nicht. Über Sperren entscheide ich von Hand.

Widerspruchsrecht